「Roundcube Webmail」にセキュリティ更新 - 複数の脆弱性を解消

ウェブメールソフト「Roundcube Webmail」の開発チームは現地時間2026年10月19日、セキュリティアップデートとなる「同1.7.5」「同1.6.20」をリリースした。脆弱性の修正を行っており、利用者に注意を呼びかけている。

アドバイザリの時点でCVE番号や共通脆弱性評価システム「CVSSv3.1」のベーススコアなどは示していないが、メールの閲覧や操作、外部コンテンツの処理、認証など、20件の修正を実施している。

「IMAP」関連では、複数のアクションで改行コードを利用したコマンドインジェクションが可能となる脆弱性が判明し、対応した。

メールヘッダに関しては、再送時の差出人表示名や「References」「In-Reply-To」「Message-ID」「From」などのパラメータを介したメールヘッダインジェクションの問題を修正。添付して転送するメールの件名や、インライン画像のデータURIに含まれるメディアタイプなども攻撃の標的となるという。

またサーバサイドリクエストフォージェリ（SSRF）対策のフィルタでは、検査を回避できる問題に対応。「SVG」や「CSS」を悪用して外部コンテンツの読み込み制限を回避する問題にも対処した。

このほか、迷惑メール指定操作におけるクロスサイトリクエストフォージェリ（CSRF）検証の回避、パスワードドライバのエラー応答に起因するクロスサイトスクリプティング（XSS）などの修正も行っている。

（Security NEXT - 2026/10/20 ）ツイート

「Roundcube Webmail」にセキュリティ更新 - 複数の脆弱性を解消

関連リンク

PR

関連記事